Bạn đang xem tài liệu về Apigee Edge.
Truy cập vào
tài liệu Apigee X. thông tin
Để khách hàng tuân thủ PCI trên Đám mây công cộng Apigee Edge, khách hàng phải thực hiện một số hành động và quy trình theo "Mô hình trách nhiệm chung". Khách hàng đã mua gói tuân thủ PCI và bắt buộc phải tuân thủ PCI nên xem xét các mục sau. Những mục này là tự phục vụ trong Edge và cần được giải quyết để tổ chức (org) khách hàng tuân thủ PCI. Khái niệm tổng thể là "Google bảo mật nền tảng, khách hàng bảo mật dữ liệu của họ".
Bảng trách nhiệm của khách hàng
Khách hàng nên tham khảo Google Cloud Platform: Ma trận trách nhiệm chung PCI DSS phiên bản 4.0.1 và chia sẻ ma trận này với Đơn vị đánh giá bảo mật đủ điều kiện PCI khi tiến hành quy trình kiểm tra PCI của riêng họ.
Liên kết các yêu cầu của PCI
| Yêu cầu của PCI | Section |
|---|---|
| Yêu cầu 7: Hạn chế quyền truy cập vào các thành phần hệ thống và dữ liệu chủ thẻ theo nhu cầu kinh doanh cần biết | |
| Yêu cầu 3: Bảo vệ dữ liệu tài khoản được lưu trữ | |
| Yêu cầu 10: Ghi nhật ký và giám sát mọi hoạt động truy cập vào các thành phần hệ thống và dữ liệu của chủ thẻ | |
| Yêu cầu 8: Xác định người dùng và xác thực quyền truy cập vào các thành phần hệ thống | |
| Yêu cầu 11: Thường xuyên kiểm tra tính bảo mật của hệ thống và mạng | |
| Yêu cầu 4: Bảo vệ dữ liệu của chủ thẻ bằng phương thức mật mã học mạnh mẽ trong quá trình truyền tải qua mạng công cộng, mở | |
| Yêu cầu 3: Bảo vệ dữ liệu tài khoản được lưu trữ | |
| Yêu cầu 4: Bảo vệ dữ liệu của chủ thẻ bằng phương thức mật mã học mạnh mẽ trong quá trình truyền tải qua mạng công cộng, mở |
Để nhận được Chứng nhận tuân thủ (AOC) Tiêu chuẩn bảo mật dữ liệu của Ngành thẻ thanh toán (PCI), hãy mở một phiếu yêu cầu hỗ trợ với Nhóm hỗ trợ Apigee hoặc liên hệ với Nhóm bán hàng Apigee.
Theo dõi / Gỡ lỗi
Trace/Debug là một công cụ khắc phục sự cố cho phép người dùng xem trạng thái và nội dung của một lệnh gọi API khi lệnh gọi đó được xử lý thông qua Trình xử lý thông báo Apigee. Trace và Debug là hai tên cho cùng một dịch vụ nhưng được truy cập thông qua các cơ chế khác nhau. Trace là tên của dịch vụ này trong Giao diện người dùng Edge. Gỡ lỗi là tên của cùng một dịch vụ khi được dùng thông qua các lệnh gọi API. Việc sử dụng thuật ngữ Dấu vết trong tài liệu này áp dụng cho cả Dấu vết và Gỡ lỗi.
Trong phiên theo dõi, "Che dữ liệu" sẽ được thực thi. Công cụ này có thể chặn dữ liệu xuất hiện trong quá trình Theo dõi. Hãy xem phần Che giấu dữ liệu bên dưới.
Khách hàng PCI có thể sử dụng Bản đồ khoá giá trị (KVM) được mã hoá. Nếu đang sử dụng KVM được mã hoá, bạn vẫn có thể dùng Trace, nhưng một số biến sẽ không xuất hiện trên màn hình hiển thị Trace. Bạn có thể thực hiện các bước bổ sung để cũng hiển thị các biến này trong quá trình Theo dõi.
Bạn có thể xem hướng dẫn chi tiết về cách sử dụng công cụ Trace tại phần Sử dụng công cụ Trace.
Thông tin chi tiết về KVM, bao gồm cả KVM được mã hoá, có tại phần Làm việc với các bản đồ khoá giá trị.
Sử dụng/Uỷ quyền
Quyền truy cập vào Trace được quản lý thông qua hệ thống RBAC (Kiểm soát quyền truy cập dựa trên vai trò) cho tài khoản người dùng trong Edge. Bạn có thể xem hướng dẫn chi tiết về cách sử dụng hệ thống RBAC để cấp và thu hồi đặc quyền Trace tại phần Chỉ định vai trò và Tạo vai trò tuỳ chỉnh trong giao diện người dùng. Quyền theo dõi cho phép người dùng chạy một Hoạt động theo dõi, dừng một Hoạt động theo dõi, truy cập vào đầu ra từ một phiên Hoạt động theo dõi.
Vì Trace có quyền truy cập vào tải trọng của các lệnh gọi API (trước đây gọi là "Nội dung thông báo"), nên bạn cần cân nhắc xem ai có quyền truy cập để chạy Trace. Vì việc quản lý người dùng là trách nhiệm của khách hàng, nên việc cấp quyền Truy vết cũng là trách nhiệm của khách hàng. Apigee, với tư cách là chủ sở hữu nền tảng, có khả năng thêm người dùng vào một tổ chức khách hàng và chỉ định các đặc quyền. Khả năng này chỉ được sử dụng theo yêu cầu hỗ trợ của khách hàng trong trường hợp dịch vụ khách hàng không hoạt động và việc xem xét một phiên theo dõi được cho là sẽ cung cấp thông tin tốt nhất về nguyên nhân gốc rễ.
Che giấu dữ liệu
Tính năng che dữ liệu chỉ ngăn chặn việc hiển thị dữ liệu nhạy cảm trong phiên Gỡ lỗi/Theo dõi, cả trong Trace (Giao diện người dùng Edge) và ở phần phụ trợ bằng Debug (API Edge). Thông tin chi tiết về cách thiết lập tính năng che dữ liệu có tại phần Che và ẩn dữ liệu. Việc che giấu dữ liệu nhạy cảm là một phần của Yêu cầu 3 của PCI – Bảo vệ dữ liệu chủ thẻ được lưu trữ
Việc che dữ liệu KHÔNG ngăn dữ liệu xuất hiện trong tệp nhật ký, bộ nhớ đệm, số liệu phân tích, v.v. Để được trợ giúp về việc che dữ liệu trong nhật ký, hãy cân nhắc thêm một mẫu biểu thức chính quy vào tệp logback.xml. Thông thường, bạn không nên ghi dữ liệu nhạy cảm vào bộ nhớ đệm hoặc số liệu phân tích mà không có lý do chính đáng về công việc và được nhóm bảo mật và pháp lý của khách hàng xem xét.
Bộ nhớ đệm L1 và L2
Khách hàng PCI chỉ có thể sử dụng tính năng lưu vào bộ nhớ đệm với dữ liệu không được kiểm soát. Không được dùng bộ nhớ đệm cho Dữ liệu chủ thẻ (CHD) của PCI; bộ nhớ đệm không được phê duyệt theo quy trình kiểm tra Tuân thủ PCI của Apigee với tư cách là vị trí lưu trữ cho CHD. Theo hướng dẫn của PCI (Yêu cầu 3: Bảo vệ dữ liệu đã lưu trữ của chủ thẻ) , dữ liệu PCI chỉ được lưu trữ ở một vị trí tuân thủ PCI. Việc sử dụng bộ nhớ đệm L1 cũng sẽ tự động sử dụng bộ nhớ đệm L2. Bộ nhớ đệm L1 chỉ là "bộ nhớ", trong khi bộ nhớ đệm L2 ghi dữ liệu vào đĩa để đồng bộ hoá trên nhiều bộ nhớ đệm L1. Bộ nhớ đệm L2 là bộ nhớ giúp nhiều Trình xử lý thông báo đồng bộ hoá trong một khu vực và trên toàn cầu. Hiện tại, bạn không thể bật bộ nhớ đệm L1 mà không có bộ nhớ đệm L2 phía sau. Bộ nhớ đệm L2 ghi dữ liệu vào ổ đĩa để có thể đồng bộ hoá với các trình xử lý thông báo khác cho tổ chức khách hàng. Vì L2 Cache ghi dữ liệu vào ổ đĩa, nên việc sử dụng bộ nhớ đệm cho CHD hoặc dữ liệu bị hạn chế khác không được hỗ trợ.
Khách hàng được phép sử dụng bộ nhớ đệm cho dữ liệu không phải là CHD và các dữ liệu khác không bị hạn chế. Theo mặc định, chúng tôi không tắt bộ nhớ đệm cho khách hàng PCI, vì một số khách hàng chạy cả lệnh gọi API liên quan đến PCI và không liên quan đến PCI thông qua một tổ chức duy nhất. Vì tính năng này vẫn được bật cho khách hàng PCI, nên khách hàng có trách nhiệm sử dụng dịch vụ một cách phù hợp và hướng dẫn người dùng không sử dụng bộ nhớ đệm khi có khả năng dữ liệu PCI nằm trong lệnh gọi API. Quy trình kiểm tra tuân thủ PCI của Apigee không hỗ trợ CHD được lưu trữ trong bộ nhớ đệm.
Bạn có thể xem hướng dẫn chi tiết về cách sử dụng Bộ nhớ đệm tại phần Thêm tính năng lưu vào bộ nhớ đệm và duy trì.
Nhật ký kiểm tra
Khách hàng có thể xem nhật ký kiểm tra của tất cả hoạt động quản trị được thực hiện trong tổ chức của khách hàng, bao gồm cả việc sử dụng tính năng Theo dõi. Bạn có thể xem hướng dẫn chi tiết tại đây và trong phần Sử dụng công cụ Theo dõi. (Yêu cầu 10 của PCI: Theo dõi và giám sát mọi hoạt động truy cập vào tài nguyên mạng và dữ liệu của chủ thẻ)
Yêu cầu về mật khẩu phức tạp hoặc SAML
Những khách hàng có yêu cầu cụ thể về mật khẩu nên sử dụng SAML để đáp ứng các yêu cầu riêng của họ. Xem phần Bật tính năng xác thực SAML cho Edge. Edge cũng cung cấp tính năng xác thực đa yếu tố (Yêu cầu 8 của PCI: Chỉ định một mã nhận dạng duy nhất cho mỗi người có quyền truy cập vào máy tính). Xem phần Bật tính năng xác thực hai yếu tố cho tài khoản Apigee.
Bảo mật thiết bị đầu cuối
Quét điểm cuối
Bạn phải quét và kiểm thử máy chủ để tuân thủ PCI (Yêu cầu 11: Định kỳ kiểm thử các hệ thống và quy trình bảo mật). Đối với Edge Cloud, khách hàng chịu trách nhiệm quét và kiểm thử các điểm cuối API (đôi khi được gọi là "thành phần thời gian chạy") trong Edge. Thử nghiệm của khách hàng phải bao gồm các dịch vụ proxy API thực tế được lưu trữ trên Edge, nơi lưu lượng truy cập API được gửi vào Edge trước khi được xử lý rồi chuyển đến trung tâm dữ liệu của khách hàng. Khách hàng cá nhân không được phép kiểm thử các tài nguyên dùng chung, chẳng hạn như giao diện người dùng của cổng quản lý (khách hàng có thể yêu cầu xem báo cáo của bên thứ ba về việc kiểm thử các dịch vụ dùng chung theo thoả thuận không tiết lộ).
Khách hàng nên và được khuyến khích kiểm thử các điểm cuối API của họ. Thoả thuận của bạn với Apigee không cấm việc kiểm thử các điểm cuối API, nhưng chúng tôi không cho phép bạn kiểm thử giao diện người dùng quản lý dùng chung. Mặc dù vậy, nếu cần làm rõ thêm, vui lòng gửi yêu cầu hỗ trợ và đề cập đến kế hoạch kiểm thử của bạn. Bạn nên thông báo trước cho Apigee để chúng tôi có thể biết được lưu lượng truy cập thử nghiệm.
Khách hàng kiểm thử các điểm cuối của họ nên tìm kiếm mọi vấn đề dành riêng cho API, mọi vấn đề liên quan đến các dịch vụ Apigee, đồng thời kiểm tra TLS và các mục có thể định cấu hình khác. Mọi mục có liên quan đến các dịch vụ của Apigee đều phải được thông báo cho Apigee thông qua yêu cầu hỗ trợ.
Hầu hết các mục liên quan đến điểm cuối đều là các mục tự phục vụ của khách hàng và có thể được khắc phục bằng cách xem tài liệu về Edge. Nếu có những mục mà bạn không rõ cách khắc phục, vui lòng gửi yêu cầu hỗ trợ.
Cấu hình TLS
Theo các tiêu chuẩn PCI, SSL và TLS đời đầu cần được di chuyển sang các phiên bản bảo mật. Khách hàng chịu trách nhiệm xác định và định cấu hình các điểm cuối TLS của riêng họ cho các proxy API. Đây là một tính năng tự phục vụ trong Edge. Các yêu cầu của khách hàng về việc lựa chọn phương thức mã hoá, giao thức và thuật toán rất đa dạng và cụ thể cho từng trường hợp sử dụng. Vì Apigee không biết thông tin chi tiết về thiết kế API và tải trọng dữ liệu của từng khách hàng, nên khách hàng có trách nhiệm xác định phương thức mã hoá phù hợp cho dữ liệu đang truyền. Bạn có thể xem hướng dẫn chi tiết về cách định cấu hình TLS tại TLS/SSL.
Lưu trữ dữ liệu
Edge không cần lưu trữ dữ liệu để hoạt động đúng cách. Tuy nhiên, có các dịch vụ để lưu trữ dữ liệu trong Edge. Khách hàng có thể chọn sử dụng bộ nhớ đệm, bản đồ giá trị khoá hoặc số liệu phân tích để lưu trữ dữ liệu. Không có dịch vụ nào trong số này được phép lưu trữ CHD theo quy trình kiểm tra PCI của Apigee. Theo Yêu cầu 3 của PCI (Bảo vệ dữ liệu đã lưu trữ của chủ thẻ), dữ liệu PCI chỉ được lưu trữ ở những vị trí tuân thủ PCI. Khách hàng có thể sử dụng các dịch vụ này để lưu trữ dữ liệu không phải PCI hoặc dữ liệu không bị hạn chế khác, tuỳ thuộc vào các yêu cầu pháp lý và bảo mật của khách hàng. Đây là các dịch vụ tự phục vụ của khách hàng, vì vậy, khách hàng có trách nhiệm định cấu hình các dịch vụ này để không thu thập hoặc lưu trữ CHD. Quản trị viên khách hàng nên xem xét cấu hình, chính sách và việc triển khai để tránh trường hợp vô tình hoặc cố ý sử dụng các dịch vụ lưu trữ dữ liệu trong Edge theo cách không tuân thủ .
Mã hoá dữ liệu
Khách hàng không được cung cấp các công cụ mã hoá dữ liệu để sử dụng trong Edge. Tuy nhiên, khách hàng có thể mã hoá dữ liệu PCI trước khi gửi đến Edge. PCI Yêu cầu 4: (Mã hoá việc truyền dữ liệu của chủ thẻ trên các mạng công cộng, mở) nên mã hoá dữ liệu của chủ thẻ trên các mạng công cộng, mở. Dữ liệu được mã hoá trong tải trọng (hoặc Nội dung thư) sẽ không ngăn Edge hoạt động. Một số chính sách của Edge có thể không tương tác được với dữ liệu nếu khách hàng nhận được dữ liệu đã mã hoá. Ví dụ: không thể thực hiện một phép biến đổi nếu Edge không có sẵn dữ liệu để thay đổi. Tuy nhiên, các chính sách khác cũng như các chính sách và gói do khách hàng tạo sẽ hoạt động ngay cả khi tải trọng dữ liệu được mã hoá.